La entrada en vigencia de la Ley Orgánica para el Fortalecimiento de la Ciberseguridad (LOFC), publicada el 22 de mayo de 2026, abre una nueva etapa para la gestión de riesgos digitales en Ecuador. La norma establece obligaciones relacionadas con la gestión de riesgos, la notificación y respuesta a incidentes, la gobernanza de la ciberseguridad y la resiliencia de los servicios esenciales y de la infraestructura crítica digital.
Para Fernando Fernández, Gerente Senior de riesgos digitales y ciberseguridad de PwC Ecuador, uno de los primeros puntos es entender que la responsabilidad no debería quedar únicamente en el área de Tecnología. La ciberseguridad debe asumirse como un tema de resiliencia y continuidad del negocio, con participación de la alta dirección y de las áreas especializadas cuando existan.
La LOFC no impone el mismo régimen de obligaciones a todas las organizaciones. Su ámbito de aplicación comprende tres grupos principales.
El primero corresponde a entidades del sector público relacionadas con la gestión de servicios esenciales o de infraestructura crítica digital. El segundo comprende a personas jurídicas privadas responsables de infraestructura crítica digital o cuya actividad incida directamente en la continuidad de servicios esenciales, conforme a la clasificación y los criterios que establezcan el catálogo y la normativa técnica aplicable.
El tercer grupo corresponde a los prestadores de servicios digitales, respecto de los elementos bajo su esfera de control; entre ellos pueden encontrarse proveedores de servicios en la nube, centros de datos y pasarelas de pago. En consecuencia, la aplicación de la ley está asociada principalmente con la actividad, la función y la criticidad del servicio, y no únicamente con el tamaño de la organización, indicó.
La identificación y priorización de los servicios esenciales y de la infraestructura crítica digital se apoyará en el Catálogo Nacional de Servicios Esenciales e Infraestructura Crítica Digital, a cargo del ente rector. Este instrumento deberá revisarse y actualizarse al menos cada dos años, o cuando existan cambios relevantes en los riesgos o en la dependencia tecnológica.
Esto no significa que las organizaciones deban permanecer inactivas hasta que el catálogo y la normativa técnica estén plenamente desarrollados. El ámbito definido por la ley permite efectuar una evaluación preliminar de aplicabilidad, que deberá confirmarse cuando se emitan o actualicen esos instrumentos.
El reporte de incidentes entra en la gestión empresarial
Uno de los cambios más relevantes es la obligación de notificar los incidentes que afecten la confidencialidad, integridad o disponibilidad de activos digitales dentro de las setenta y dos (72) horas siguientes a su detección. La recepción, coordinación y seguimiento se canalizan a través del CSIRT Nacional o, en los sectores regulados, de la autoridad sectorial competente, según corresponda. El incumplimiento puede dar lugar a sanciones.
Además, la normativa clasifica las infracciones en leves, graves y muy graves. Para entidades privadas y empresas públicas, las multas se determinan como un porcentaje del volumen de negocio del ejercicio económico anterior y, según la gravedad, pueden alcanzar hasta el 1,5 %. En los sectores sujetos a regulación especializada, la potestad sancionadora corresponde al órgano de control competente.
Este marco obliga a revisar una capacidad operativa concreta: detectar un incidente, evaluar su impacto, contenerlo, responder, recuperar la operación y disponer de la información necesaria para notificarlo dentro del plazo establecido.
Protección de datos y ciberseguridad se cruzan
La LOFC también debe leerse junto con la normativa ecuatoriana de protección de datos personales.
La protección de datos tiene como centro el dato personal y los derechos de sus titulares. La ciberseguridad, en cambio, se orienta a prevenir y responder a incidentes que puedan comprometer sistemas, infraestructura y continuidad de servicios.
Fernández señala que el punto de encuentro aparece cuando un incidente de ciberseguridad compromete datos personales. En esos casos, la organización debe analizar, de manera separada pero coordinada, si se activan las obligaciones de notificación previstas en la LOFC y en la Ley Orgánica de Protección de Datos Personales, ante las autoridades y dentro de los plazos que correspondan en cada régimen.
¿Por dónde empezar?
El primer paso, menciona, es determinar si la ley aplica o podría aplicar a la organización, considerando su actividad, los servicios que presta, las dependencias tecnológicas y su eventual clasificación como responsable de infraestructura crítica digital, prestador de servicios digitales o entidad vinculada con la continuidad de un servicio esencial.
A partir de allí, la preparación puede avanzar hacia un diagnóstico de brechas que permita revisar controles, gobierno, resiliencia y capacidad de respuesta. Mientras se completa la normativa secundaria, pueden utilizarse marcos internacionales como referencia para evaluar el nivel de madurez.
La preparación puede ordenarse en cuatro etapas:
Entender. Determinar la aplicabilidad de la LOFC, identificar sectores, servicios y dependencias.
Medir. Evaluar las brechas frente a la LOFC, la normativa de protección de datos, los controles de seguridad y las capacidades de resiliencia.
Preparar. Revisar el modelo de gobierno y comprobar si la organización puede detectar, responder y reportar incidentes dentro de los tiempos requeridos.
Transformar. Construir una hoja de ruta, definir métricas, reportar avances al directorio y mantener un proceso de mejora continua.
